С 1 марта 2026 года государственные информационные системы аттестуются по приказу ФСТЭК России № 117 от 11.04.2025. Он зарегистрирован в Минюсте 16.06.2025 и заменил приказ № 17 от 11.02.2013. Главная перемена касается модели подтверждения соответствия: к аттестации добавлена периодическая оценка защищенности, результаты которой оператор направляет регулятору.

Круг адресатов приказа шире прежнего. Это операторы ГИС, иные информационные системы государственных органов, государственных унитарных предприятий и учреждений, муниципалитеты, а также коммерческие организации, подключенные к ГИС. Классы защищенности К1, К2 и К3 сохранены, действующие аттестаты остаются в силе, у оператора есть переходный период. Ниже разберем, какие работы стали регулярными, как выглядит полугодие оператора и какую часть цикла можно передать площадке, на которой размещена система.

Показатель Кзи (коэффициент защищенности информации) характеризует состояние технической защиты информации в системе, порядок его расчета задает Методика, утвержденная ФСТЭК России 11 ноября 2025 года. Второй показатель, Узи — уровень зрелости защиты информации — (в первой редакции приказа он обозначался Пзи — показатель зрелости защиты информации) отражает уровень зрелости процессов защиты информации; методику его оценки ФСТЭК утвердила 7 августа 2026 года. Мониторинг событий безопасности приказ привязывает к ГОСТ Р 59547-2021, работа с инцидентами описана как полный цикл от выявления до анализа причин, оператор взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), а привилегированный доступ администраторов и инженеров подрядчиков закрывается строгой аутентификацией, а для всех пользователей систем К1 и К2 и для удаленного доступа в системах К3 требуется усиленная двухфакторная аутентификация.

Порядок перехода регулятор разъяснил информационным сообщением ФСТЭК России от 12.03.2026 № 240/22/1492. Массовой переаттестации к конкретной дате нет. По контрактам, заключенным до 1 марта 2026 года, аттестацию можно завершить по требованиям приказа № 17. Действие ранее выданного аттестата сохраняется, пока конфигурация системы не меняется. При изменениях в системе проводятся дополнительные аттестационные испытания (функциональное тестирование и анализ уязвимостей), полная переаттестация нужна только при повышении класса защищенности.

Требования приказа ложатся на календарь полугодия. В самом начале оператор актуализирует инвентаризацию активов и список привилегированных учетных записей, затем сверяет модель угроз с фактической конфигурацией систем. Модель обновляется по мере изменений в архитектуре, добавления сегментов или новых интеграций, и делать это удобнее до начала измерений.

Сканирование уязвимостей идет регулярно, устранение укладывается в сроки приказа. Параллельно идет мониторинг событий безопасности, каждый инцидент проходит полный цикл от регистрации до анализа причин. Окна обслуживания для установки обновлений согласуются с владельцами прикладных сервисов заранее, тогда суточный срок на критическую уязвимость выполняется штатно.

Оператор рассчитывает Кзи по Методике ФСТЭК и направляет результаты регулятору в течение пяти рабочих дней. По итогам расчета готовится план корректирующих мер, он задает содержание работ на следующее полугодие. Отдельно от полугодового расчета протокол оценки уровня защищенности направляется во ФСТЭК не реже раза в три года.

Политика защиты информации, внутренние стандарты и регламенты проверяются на актуальность каждое полугодие вместе с журналами, одновременно с техническими мерами.

Цикл ведет руководитель подразделения по информационной безопасности: он держит сроки и отвечает за отчетность. Устранение уязвимостей ложится на администраторов систем, они же согласуют окна обслуживания. Документы и журналы стоит закрепить за отдельным сотрудником, тогда сбор данных для расчета Кзи идет равномерно в течение полугодия. Сами аттестационные испытания проводит организация с лицензией ФСТЭК на техническую защиту конфиденциальной информации.

План перехода по информационному сообщению ФСТЭК закрывает первое полугодие по новым требованиям.

Государственные информационные системы переходят в режим постоянного соответствия первыми, ту же логику регулятор распространил и на значимые объекты КИИ. Методика ФСТЭК от 11 ноября 2025 года охватывает оба контура сразу. Сам ФСТЭК использует ее для мониторинга состояния защиты информации, а организации применяют для оценки своего состояния и выработки мер по его улучшению.

Приказ ФСТЭК от 16.07.2026 № 220 внес изменения в требования к системам безопасности значимых объектов. С 1 марта 2027 года субъект КИИ рассчитывает показатель Кзи не реже одного раза в шесть месяцев, а показатель зрелости Узи — не реже раза в три года. Тот же приказ ввел требования к подрядным организациям с доступом к значимым объектам; как их закрепляют в договоре, разбирает отдельный материал спецпроекта о разграничении ответственности.

Для организации, которая ведет и ГИС, и значимый объект КИИ, это означает один календарь проверок на оба контура с весны 2027 года. Перечень систем, модель угроз и регламент реагирования у контуров различаются, а люди, окна обслуживания, сканер уязвимостей и система мониторинга общие. Поэтому площадку удобно выбирать сразу под оба режима.

Если посмотреть на полугодовой цикл целиком, в нем два слоя. Первый слой — инфраструктурный: площадка, виртуализация, сетевая защита, средства защиты инфраструктуры, их обновление, мониторинг их событий и комплект документов по площадке. Этот слой одинаков для любой системы, которая на площадке размещена. Второй слой — прикладной: сама информационная система оператора, ее данные, доступы, приложения, модель угроз и показатель Кзи по ней.

Приказ № 117 описал внешнюю площадку прямо, и это дает оператору выбор, как организовать цикл. Первый вариант оставляет оба слоя внутри периметра: своя инфраструктура и своя команда, включая площадку, виртуализацию и сетевую защиту. Сюда же относится частное облако на площадке заказчика, где платформу поставляет вендор, а режим соответствия по всем слоям ведет сам оператор.

Второй вариант выносит инфраструктурный слой в аттестованное облако провайдера. Провайдер подтверждает соответствие площадки, виртуализации, сетевой защиты и средств защиты инфраструктуры и поддерживает его в своем контуре по регламенту: сканирует инфраструктуру, обновляет компоненты, ведет мониторинг ее событий и документы по площадке. У оператора остается прикладной слой: расчет показателя по своей системе, разбор инцидентов в собственном контуре, отчетность во ФСТЭК. На входе оператор сопоставляет область аттестации провайдера со своей архитектурой и моделью угроз, а разграничение зон закрепляется в договоре до начала работ. Провайдеры оформляют матрицу разграничения ответственности отдельным приложением к договору.

Второй критерий связан со сроками приказа. Критическую уязвимость нужно закрыть за 24 часа, а если она найдена в виртуализации или хранилище площадки, закрыть ее можно только обновлением от разработчика этого компонента. Когда компоненты провайдер разрабатывает сам, сроки обновлений в его руках. Когда они лицензированы у стороннего вендора, патч и повторная сертификация идут по графику вендора, и это стоит выяснить до подписания договора.

По оценке VK Tech, сегмент аттестованных облаков в России растет не менее чем на 30% в год. Драйверы спроса называют одни и те же: вступление в силу приказа ФСТЭК № 117, расширение круга адресатов требований, сроки импортозамещения и рост числа организаций, включенных в периметр КИИ.

VK Tech развивает аттестованную облачную платформу VK Secure Cloud. Аттестат соответствия покрывает государственные информационные системы класса К1, информационные системы персональных данных уровня УЗ-1 и значимые объекты КИИ до первой категории значимости. Оба контура закрыты одним документом, поэтому организация с государственной системой и значимым объектом КИИ размещает их на одной площадке.

Основные компоненты платформы VK Tech разрабатывает сам, и все они входят в периметр аттестации. Платформа виртуализации сертифицирована ФСТЭК и не требует наложенных средств защиты, рядом объектное хранилище и система резервного копирования. ПО взято из реестра Минцифры, оборудование — из реестра Минпромторга. Собственная разработка позволяет планировать сроки обновления и повторной сертификации компонентов самостоятельно, а требования заказчиков попадают в дорожную карту платформы напрямую.

Под каждого заказчика выделяются отдельные физические ресурсы: изолированный аппаратный контур стоит в дата-центре VK Tech. Заказчик платит за ресурсы, капитальные затраты на оборудование и построение защищенного контура остаются у провайдера.

Меры, которых приказ требует непрерывно, платформа закрывает сервисами: центр мониторинга безопасности, сканер уязвимостей, межсетевые экраны, защита веб-приложений и защита от сетевых атак, сертифицированное шифрование каналов, круглосуточная поддержка с выделенным сервис-менеджером. Оператору эти функции на инфраструктурном слое строить у себя не приходится.

Для аттестации собственной системы заказчик получает комплект моделей угроз, формуляры инфраструктуры и копию аттестата облака. По опыту проектов VK Tech такой комплект сокращает цикл аттестации в несколько раз: доказательная база по инфраструктуре уже собрана, заказчику остается прикладной уровень.

Для сценариев, где инфраструктура должна остаться внутри организации, есть частное облако VK Private Cloud. Оно ставится в контуре заказчика и поставляется с сертификатом соответствия ФСТЭК России № 4857. Сертификат покрывает ГИС, значимые объекты КИИ, системы персональных данных и автоматизированные системы управления до I класса или категории. Стек у двух продуктов общий, поэтому выбирают по тому, где должно стоять оборудование. В этой модели полугодовой цикл по всем слоям ведет сам оператор.

Для финансового блока перемена выглядит так: аттестация переехала из проектной сметы в операционный бюджет. К расходам, которые концентрировались вокруг приемки (обследование, проектирование, испытания, аттестат), добавляется ровный поток: подписки на сканер уязвимостей и систему мониторинга, договоры поддержки на средства защиты, рабочее время инженеров на полугодовую оценку и корректирующие меры, а раз в три года — расходы на оценку защищенности с тестированием на проникновение. Кадровая планка в 30% профильных специалистов планируется через найм и обучение действующих сотрудников. По исследованию «СерчИнформ» за 2025 год с участием 414 госорганизаций, половина из них тратит на информационную безопасность до 1 млн рублей в год. Это самооценка респондентов, цифра годится для оценки порядка величин.

Параллельно идет трек технологической независимости. Поправки в 187-ФЗ закрепили приоритет российского программного обеспечения на значимых объектах КИИ, а порядок и сроки перехода определяет постановление Правительства, проект которого прорабатывает Минцифры. Для бюджета это означает планирование на несколько циклов вперед: расходы на регулярную оценку защищенности и на замену компонентов приходятся на одни и те же годы, и разнести их удобнее заранее.

Разницу между двумя вариантами удобно считать по ролям, которые нужны в штате постоянно. Оператор с собственной инфраструктурой держит компетенции по обоим слоям: по площадке, виртуализации и сетевой защите и по прикладной системе поверх них. В аттестованном облаке провайдера инфраструктурный слой уходит из штатного расписания вместе со своей частью полугодового цикла, а вопросы по площадке переходят в договор, где есть срок реакции и ответственный на стороне поставщика. На горизонте двух лет полугодовой цикл пройдет четыре раза, и разница в сотрудниках, подписках и рабочем времени становится измеримой.

«Заказчики перестали спрашивать, как пройти аттестацию. Теперь спрашивают, кто ведет цикл каждые полгода. Часть цикла по инфраструктурному слою логично отдать тому, кто уже держит аттестованный контур и поддерживает его по регламенту. Показатель по своей системе, разбор инцидентов и отчетность во ФСТЭК остаются за оператором. Это решение об организации процесса, и принимать его стоит до подачи заявки на аттестацию»

1. Провести инвентаризацию систем и действующих аттестатов с указанием сроков их окончания.
2. Классифицировать системы по приказу ФСТЭК № 117 и сверить каждую с областью применения приказа.
3. Составить план перехода с перечнем мер и сроками, как рекомендует информационное сообщение ФСТЭК от 12 марта 2026 года № 240/22/1492.
4. Описать процедуру расчета показателя Кзи и отправки результатов во ФСТЭК в течение пяти рабочих дней, а также оценки защищенности с тестированием на проникновение раз в три года.
5. Утвердить регламент устранения уязвимостей в установленные приказом сроки — 24 часа и 7 дней.
6. Спланировать кадровый ресурс под долю профильных специалистов не ниже 30%.
7. Для размещения в облаке: проверить область аттестации провайдера и закрепить разграничение ответственности в договоре.

Полугодовой такт оператор запускает до подачи заявки на аттестацию. Первый расчет показателя Кзи покажет, какие меры еще не готовы, и их можно закрыть вовремя.